QR kode, zaščitene z geslom: kaj v resnici varujejo

Kdor prosi za "šifrirane QR kode", običajno želi eno od dveh zelo različnih stvari: naj tega ne more odpreti nihče, ki gre mimo, ali to mora biti resnično zaupno. Geslo na dinamični kodi dobro odgovori na prvo in sploh ne na drugo.

Kako natančno deluje

Dinamična koda nosi kratek naslov. Običajno odgovori "pojdi sem". Z geslom namesto tega odgovori z majhnim obrazcem. Ob pravilnem geslu se preusmeritev nadaljuje; piškotek poskrbi, da isti telefon 12 ur ne bo znova vprašan, in velja le za to kodo.

Geslo je shranjeno kot zgoščena vrednost bcrypt, torej neberljivo tudi z naše strani: pozabljeno se zamenja, ne obnovi.

Stavek, ki odloči

Geslo varuje preusmeritev, ne cilja.

Vaša stran ostane na svojem naslovu, ta pa ni zaščiten. Kdor ga ima — nekdo, ki ste mu ga poslali, kdor je po odklepu pogledal naslovno vrstico, iskalnik, ki je stran indeksiral — jo odpre neposredno in obrazca nikoli ne vidi.

Kar geslo prinese, je resnično, a omejeno: ustavi mimobežno skeniranje, ne pa tistega, ki resno poskuša.

Druga meja: deljena skrivnost na natisnjenem predmetu

• Pušča že po zasnovi. Po tednu resnične uporabe ni več zasebno.
• Menjava pomeni znova obvestiti vse. Dvanajst sodelavcev da, štiristo obiskovalcev ne.
• Ne pove, kdo je vstopil. Skeniranje ne nosi identitete.
• Ne tiskajte ga ob kodo. To se zgodi pogosteje, kot bi mislili.

Kje se resnično prilega

• Vsebina za člane na javni površini. Avla, telovadnica, društveni prostor.
• Nekaj, kar še ni pripravljeno. Koda, natisnjena pred zagonom.
• Interne kode v skupnih prostorih.
• Dokumenti, ki naj ne krožijo mimogrede — cenik za trgovce.
• Zmanjšanje šuma.

Kje je napačno orodje

• Vse, kar je res zaupno. Osebni podatki, zdravje, finance, pogodbe: za prijavo.
• Vse, kar mora biti preklicljivo po osebi.
• Dokazljiv nadzor dostopa. Dnevnika z imeni od tod ne bo.
• Plačila in vse, kar privablja prevare. Polje za geslo po skeniranju je videti natanko kot ribarjenje.

Praktične opombe

• Paketa Pro in Business, skupaj s potekom in omejitvijo skeniranj.
• Odklep traja 12 ur na napravo in kodo.
• Natisnite namig, ne gesla.
• Cilj držite tudi zunaj iskalnikov.
• Združite s potekom, če je stvar začasna.

Kratki odgovori

• Ali je koda šifrirana? Ne; zaščiten je naslednji korak.
• Se da zaobiti? Kdor ima končni naslov, obrazca nikoli ne sreča.
• Kako dolgo traja odklep? 12 ur.
• Ali vidim, kdo je vstopil? Ne.
• Je primerno za zaupne dokumente? Ne.
• Pozabljeno geslo? Zamenja se, ne obnovi.